AI Act Kompas

Artikel 12 verplicht aanbieders om hoog-risico AI-systemen zo te ontwerpen dat gebeurtenissen gedurende de levensduur automatisch worden geregistreerd. Artikel 26 lid 6 legt de bewaarplicht bij de gebruiksverantwoordelijke. Samen vormen ze de traceerbaarheidsketen van de AI Act.

Waarom logging in de wet staat

Logs dienen drie doelen tegelijk:

• Traceerbaarheid — achteraf reconstrueren wat het systeem heeft gedaan en waarom een besluit tot stand kwam.
• Risicodetectie — situaties signaleren die kunnen leiden tot een risico voor gezondheid, veiligheid of grondrechten, of tot een substantiële wijziging.
• Monitoring — voeden van de werking van het systeem na het in de handel brengen (artikel 72) en van het risicobeheersysteem.

Zonder logs kun je een klacht van een burger over een geautomatiseerd besluit niet onderzoeken, geen incidentmelding onderbouwen en geen enkele bewering over de prestaties van je systeem hard maken.

Wat de aanbieder moet inbouwen

De registratiefunctie moet technisch mogelijk maken dat gebeurtenissen worden vastgelegd die relevant zijn voor:

1. het identificeren van situaties waarin het systeem een risico kan opleveren in de zin van artikel 79 lid 1, of waarin sprake kan zijn van een substantiële wijziging;
2. het faciliteren van de monitoring na het in de handel brengen;
3. het bewaken van de werking van het systeem door de gebruiksverantwoordelijke.

Voor systemen voor biometrische identificatie op afstand uit bijlage III punt 1 onder a schrijft artikel 12 lid 3 concreet vier elementen voor: de periode van elk gebruik (begin- en einddatum plus tijdstip), de gebruikte referentiedatabank, de inputdata waarmee de zoekopdracht tot een match leidde, en de identificatie van de natuurlijke personen die bij de verificatie van de resultaten betrokken waren, conform artikel 14 lid 5.

Wat de gebruiksverantwoordelijke moet doen

Als deployer moet je:

• de automatisch gegenereerde logs bewaren gedurende ten minste zes maanden, voor zover ze onder jouw controle vallen;
• rekening houden met langere termijnen uit andere regelgeving — in gereguleerde sectoren is zeven jaar of langer niet ongebruikelijk;
• de logs kunnen overleggen aan de markttoezichthouder en, op verzoek, aan de aanbieder;
• bij een ernstig incident de relevante logs beschikbaar hebben voor onderzoek.

Voor financiële instellingen die al onder Unierecht bewaarplichten vallen, geldt dat de logs onderdeel worden van de documentatie die krachtens die financiële wetgeving wordt bewaard.

Wat je praktisch logt

Een bruikbaar logboek voor een hoog-risico systeem bevat doorgaans:

• Identificatie: systeemnaam, versie, modelversie, configuratie/drempelwaarden.
• Tijdstip en context: wanneer, in welk proces, door welke organisatieonderdeel.
• Input: welke gegevensvelden zijn gebruikt (waar mogelijk verwijzend in plaats van kopiërend).
• Output: score, classificatie, aanbeveling, betrouwbaarheidsindicatie.
• Menselijke interventie: wie beoordeelde de output, wat was het eindbesluit, en week dat af van de AI-output? Dit is je bewijs van effectief menselijk toezicht.
• Afwijkingen: foutmeldingen, time-outs, fallbacks, onverwachte inputpatronen.

Die laatste twee categorieën worden het vaakst vergeten en zijn precies wat een toezichthouder wil zien.

Bewaking van logs door aanbieders

Aanbieders die logs onder hun controle hebben — bijvoorbeeld bij een SaaS-oplossing — moeten deze bewaren gedurende een periode die past bij het beoogde doel, en ten minste zes maanden, tenzij anders bepaald. Zorg dat contractueel duidelijk is wie welke logs beheert, hoe lang, en hoe de ander erbij kan. Dat is precies het soort afspraak dat in je AI-inkoopcontract thuishoort.